Typische Stolpersteine und bewährte Lösungen Praktische Umsetzung von SD-WAN: So wird's gemacht

Anbieter zum Thema

NTT DATA Deutschland SE

NTT DATA Deutschland SE

ALE Deutschland GmbH

Aagon GmbH

Vitel GmbH

Attribute wie leistungsstark, flexibel und intelligent haben SD-WAN zum Durchbruch verholfen. Doch ohne gute Planung lassen sich nicht alle Netzwerkprobleme lösen und auch bei der Implementierung eines SD-WANs lauern Stolpersteine.

Mit einem Software-Defined WAN, kurz SD-WAN, lassen sich die verschiedensten Verbindungswege zentral und in Echtzeit verwalten und orchestrieren. Dazu wird die Netzwerkkontrolle von der zugrundeliegenden physischen Infrastruktur entkoppelt und ist direkt programmierbar. Als Overlay-Schicht schickt SD-WAN die Datenpakete dann über die bestmöglichen Verbindungen.

Dieses intelligente Routing sorgt dafür, dass sicherheitskritische Daten mit hoher Priorität weiterhin über qualitative hochwertige WAN-Leitungen, beispielsweise MPLS (Multiprotocol Label Switching), gesendet werden, während weniger sensible, aber bandbreitenintensive Daten über günstigere Internetverbindungen laufen. Durch die Analyse der Daten, die Ermittlung der Leitungsauslastung und die Optimierung der Netzwerkpfade stellt SD-WAN sicher, dass die vorgegebenen Service-Level für alle Anwendungen eingehalten werden. Auf diese Weise können Unternehmen beispielsweise ihren Remote-Workern einen direkten Zugriff auf Cloud-Services ermöglichen – ohne Umweg über das zentrale Firmennetz.

Die Arbeitsweise ändert sich grundlegend

Klassischerweise konzentrieren sich Netzwerkteams auf das Underlay, also die physische Infrastrukturebene. Bei SD-WAN findet jedoch eine Abstraktion der Intelligenz auf ein virtuelles Overlay statt. Dies erfordert ein Umdenken bei allen Beteiligten: Die Anforderungen an das Netzwerk werden nun maßgeblich von der Applikations- und damit der Business-Seite getrieben und müssen in entsprechende Netzwerk-Policies übersetzt werden. Priorisierungsanforderungen müssen gegeneinander abgewogen werden, was eine regelmäßige Kommunikation mit den Fachbereichen voraussetzt. Dies bedeutet eine erhebliche Veränderung und Erweiterung des Aufgabenspektrums – vom Netzwerkspezialisten zum Moderator zwischen Fachbereich und IT.

Unternehmen müssen sich zudem bewusst sein, dass die Einführung von SD-WAN in der Regel kein Ersatz für das bestehende Netzwerk ist, sondern einen Architekturwechsel mit sich bringt. Ohne ein detailliertes Verständnis der bestehenden Netzwerk- und IT-Infrastruktur und insbesondere der Applikationsanforderungen wird die Einführung und Migration nicht funktionieren. Das beginnt bei der Planung einer individuellen Architektur, geht über die Auswahl der geeigneten Plattform bis hin zur passgenauen Konfiguration, schließt aber auch ein Traffic- und sicherheitsorientiertes Policy-Setup mit ein.

Eine wichtige Rolle nimmt die Identifizierung von Standortprofilen ein. Indem Unternehmen Orte mit ähnlichen funktionalen Anforderungen in einem Netzwerk zusammenfassen, können sie Faktoren wie die benötigte Bandbreite einfacher ermitteln und die Konsistenz im Netzwerk verbessern. So haben etwa Büros mit hoher Videokonferenznutzung ganz andere Anforderungen an Bandbreite oder Datensicherheit als Lagerhallen oder Rechenzentren. Sind die Standortprofile definiert, sollten die Verantwortlichen die wichtigsten davon für einen Proof of Concept festlegen. Der Testbetrieb mit einigen geschäftskritischen Anwendungen zeigt dann, ob die SD-WAN-Architektur funktioniert und die Resilienz des Netzwerks steigt.

Skalierbarkeit und Integrationsfähigkeit im Auge behalten

Bei der Auswahl der passenden Lösung spielen Leistungsfähigkeit und Skalierbarkeit eine enorm wichtige Rolle. Grundsätzlich sollten Unternehmen bei der Einführung von SD-WAN die aktuellen und zukünftigen Geschäftsprozesse im Blick haben. Angesichts des exponentiellen Wachstums des Datenverkehrs, insbesondere durch Cloud-Anwendungen, muss die Lösung in der Lage sein, die erhöhte Bandbreite zu bewältigen, ohne dass die Netzwerkleistung in irgendeiner Weise beeinträchtigt wird. Einige SD-WAN-Systeme sind jedoch nur begrenzt skalierbar, sodass sie mit dem Unternehmenswachstum nicht Schritt halten können. SD-WAN sollte zudem die Betriebsabläufe vereinfachen – fehlen Automatisierungsroutinen, werden die erhofften Effizienzgewinne sofort wieder aufgezehrt.

Vor dem Hintergrund, dass Unternehmen mittlerweile eine Vielzahl von Cloud-Diensten und SaaS-Anwendungen nutzen, ist es darüber hinaus essenziell, dass sich diese nahtlos in das SD-WAN integrieren lassen. Da die Anbieter oft unterschiedliche Anforderungen und Schnittstellen haben, ist eine sorgfältige Planung für eine reibungslose Zusammenarbeit notwendig. Auch lokale Internet-Breakouts sind ein Muss, um die Effizienz und Geschwindigkeit des Netzwerks deutlich zu steigern. Gerade kleinere Niederlassungen und Standorte sowie Homeoffice-Arbeitsplätze profitieren davon.

Sicherheit passiert nicht automatisch

Die Anbindung an Cloud-Dienste wie Microsoft Office 365 über lokale Internet-Breakouts funktioniert deutlich schneller als der klassische Weg über das zentrale Rechenzentrum. Durch diese erweiterte Nutzung des Internets können jedoch Sicherheitslücken entstehen. Einige SD-WAN-Anbieter bieten einen kombinierten Security-Ansatz, in anderen Fällen müssen sich Unternehmen selbst mit den notwendigen Maßnahmen auseinandersetzen. Dazu gehören neben einer Next Generation Firewall, Anti-Malware, Datenverschlüsselung und einem Intrusion-Prevention-System auch eine sorgfältige Netzwerksegmentierung, um die Ausbreitung von Bedrohungen zu verhindern oder zumindest zu verlangsamen.

Da bei SD-WAN der Datenverkehr in geografisch verteilten Unternehmen nicht mehr nur innerhalb des Firmennetzwerks, sondern auch über normale Internetverbindungen und in die Cloud läuft, hilft eine Zero-Trust-Architektur dabei, den Schutzwall noch einmal zu erhöhen. Bei diesem Ansatz dürfen Mitarbeitende nicht einfach auf Netzwerkressourcen zugreifen, weil sie sich zum Beispiel schon einmal an anderer Stelle oder zu einem früheren Zeitpunkt angemeldet haben. Vielmehr müssen sie sich immer wieder neu authentifizieren.

An die Stelle von implizitem Vertrauen tritt ein gesundes Misstrauen. Ein sicherheitsorientiertes SD-WAN leitet deswegen alle Datenpakete über die bestmöglichen Netzwerkpfade und berücksichtigt dabei auch Security-Vorgaben, sodass kritische und sensible Workloads weiterhin über vordefinierte Verbindungen laufen. Bewährt haben sich SASE-Architekturen (Secure Access Service Edge), die Netzwerk- und Sicherheitsfunktionen so zusammenführen, dass sie optimal aufeinander abgestimmt und einfach zu verwalten sind.

Eine schrittweise oder vereinzelte Umsetzung der entsprechenden Maßnahmen wäre jedoch der falsche Weg. Aufgrund der hohen Dynamik und Skalierbarkeit eines SD-WANs ist die Umsetzung und Wartung einer nachträglich implementierten Security nicht nur extrem teuer, sondern führt auch zu einer schlechten Reaktion etwa bei Konnektivitätsänderungen. Hier setzt der Security-by-Design-Ansatz an: Sicherheitsaspekte sollten dabei von Anfang an bereits bei der Applikationsentwicklung, der Netzwerktechnologie und -topologie sowie den Server- und Storage-Komponenten berücksichtigt werden. Ein integriertes System stellt sicher, dass SD-WAN-Konnektivität, Traffic-Management und erweiterte Sicherheitsfunktionen wie aus einem Guss funktionieren.

Reicht die eigene Expertise aus?

Die SD-WAN-Technologie erfordert spezielle Kenntnisse und Fähigkeiten. Unternehmen, die nicht über ausreichend interne Expertise verfügen, laufen Gefahr, Implementierungsfehler zu begehen, die die Effizienz und Sicherheit des Netzwerks beeinträchtigen können. Das heißt: Do-it-Yourself ist zwar möglich, aber für die meisten Firmen lohnt es sich, einen erfahrenen Partner an Bord zu holen. Da sich auf dem SD-WAN-Markt eine Vielzahl von Anbietern tummelt, sollte der passende Provider mit Bedacht ausgewählt werden.

Grundsätzlich müssen sich Unternehmen entscheiden, ob sie die Lösung nur als Overlay beziehen und damit die Auswahl der Leitungsanbieter selbst steuern, oder ob sie auch das Underlay wie Internet-Zugang und MPLS vom SD-WAN-Provider beziehen. Unabhängig davon geht der Trend in Richtung „Co-Management“. Das bedeutet, dass ein Unternehmen trotz eines Managed-SD-WAN-Services bestimmte Basis-Funktionalitäten und kleinere Änderungen im Alltag eigenständig durchführt. Abhängig von den betrieblichen Anforderungen kann das eine interessante Lösung sein.

Die Implementierung von SD-WAN bietet Unternehmen jedenfalls viele Vorteile, bringt aber auch eine Reihe von Herausforderungen und Stolpersteinen mit sich. Mit einer sorgfältigen Planung und der Umsetzung umfangreicher Sicherheitsmaßnahmen können die Vorteile von SD-WAN jedoch voll ausgeschöpft werden.

Über den Autor

Jörg Jakobi ist Director Presales GTM Networking bei NTT DATA in Deutschland.

(ID:50075027)